NIS2 Frankrijk: vallen vastgoedkantoren eronder?

Gepubliceerd op 31 oktober 2026 · 8 min lezen · CyberNovaLabs.io

NIS2 noemt vastgoed niet, en Frankrijk heeft nog geen omzettingswet. Hier staan de toetsen die het beslechten, de Franse regels die u nu al binden, en de vijf acties die wel helpen.

Het korte antwoord

Nee. NIS2 geldt niet voor vastgoed. Noch bijlage I noch bijlage II van richtlijn (EU) 2022/2555 noemt vastgoedtransacties, verhuurbeheer of het beheer van een vereniging van eigenaren^[1]. Een Frans vastgoedkantoor, een vastgoedbeheerder of een syndicus heeft dus in beginsel geen directe registratieplicht, geen verplichte risicomaatregelen en geen meldplicht onder NIS2.

Het tweede antwoord is minder comfortabel. Zoekt u een Franse deadline, dan is die er nog niet. Op 31 oktober 2026 heeft Frankrijk NIS2 nog steeds niet omgezet. Wetsvoorstel nr. 1112 over de weerbaarheid van kritieke infrastructuur en de versterking van de cyberbeveiliging werd op 6 oktober 2026 van de agenda van de Assemblee nationale gehaald, zonder nieuwe datum^[2]. De Europese omzettingstermijn liep af op 17 oktober 2024^[1].

Het derde antwoord levert wel werk op. Uw verplichtingen bestaan al. Ze heten decreet nr. 2015-1437, de AVG, de wet Hoguet en de antiwitwasregels. En de cyberdruk die kantoren echt raakt komt niet van de ANSSI, maar van valse rekeningnummers.

NIS2 Frankrijk vastgoed: de toetsen, op rij

Drie vragen beslechten het. Neem ze in deze volgorde; de eerste sluit het dossier meestal al.

Staat uw activiteit op de lijst? De bijlagen dekken energie, vervoer, bankwezen, infrastructuur van de financiele markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, openbaar bestuur en ruimtevaart; daarnaast post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, bepaalde productie, digitale aanbieders en onderzoek^[1]. Vastgoed komt er niet in voor.
Bent u groter dan een kleine onderneming? De basisdrempel volgt aanbeveling 2003/361/EG: meer dan 50 medewerkers, of meer dan 10 miljoen euro omzet of balanstotaal^[1]. De vraag is zinloos als het eerste antwoord nee is: omvang voegt nooit een sector aan het toepassingsgebied toe.
Levert u er toevallig een genoemde dienst bij? Dat is de enige echte valkuil in deze sector. Een beheerder die een datacenter exploiteert, hosting doorverkoopt, een warmtenet of waterlevering voor een complex beheert of beheerde IT-diensten aan zijn opdrachtgevers levert, kan via die activiteit onder de regels vallen, nooit via het vastgoedwerk zelf.

Twee indirecte deuren blijven open, en juist die geven werk.

De toeleveringsketen. Artikel 21, lid 2, onder d) verplicht entiteiten in het toepassingsgebied om hun relaties met directe leveranciers te beveiligen^[1]. Beheert u vastgoed voor een ziekenhuis, een energiebedrijf, een bank, een haven of een overheid, dan legt uw klant de eisen bij u neer: een beveiligingsvragenlijst, een contractclausule, een meldtermijn. U bent niet gereguleerd, u wordt doorgelicht.
Individuele aanwijzing. Een nationale autoriteit kan een entiteit bij naam aanwijzen, buiten drempels en lijsten om, als uitval van haar dienst grote gevolgen zou hebben. Zeldzaam in vastgoed; niet onmogelijk voor een beheerder van strategische activa.

Stuurt een klant, een fonds of een sociale verhuurder u een vragenlijst met NIS2 erin, dan gaat de eerste deur open, niet de tweede. In Nederland geldt dezelfde logica, met een wet die er wel is: zie onze gids over NIS2 voor Nederlandse vastgoedkantoren en verhuurders.

Hoe Frankrijk er nu voor staat

De ANSSI is de autoriteit die registraties moet ontvangen en toezicht moet houden. Zij opende al voorregistratie en een eigen helpomgeving, MonEspaceNIS2, nog voor de wet bestaat^[3][11]. De werkwijze en de harde termijnen voor verplichte registratie wachten nog op de omzettingstekst^[3].

De bedragen in het wetsvoorstel geven de schaal voor wie er wel onder valt: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet voor een essentiele entiteit, tot 7 miljoen euro of 1,4 % voor een belangrijke entiteit^[2]. Het zijn cijfers uit een aanhangig voorstel: een stemming kan ze wijzigen.

Wat u meeneemt uit het Franse uitstel. Vandaag niets te registreren als u kantoor of syndicus bent. Maar een van de agenda gehaald voorstel kan snel terugkomen, en het aangekondigde Franse toepassingsgebied omvat meer dan achttien sectoren^[3]. Zet liever een alert op het parlementaire dossier dan een compliancemap in een lade.

De Franse regels die u nu al binden

Dit is de echte basis, degene die vandaag boetes oplevert in het Franse vastgoed.

Regel	Voor wie	Wat het eist	Risico
Decreet nr. 2015-1437 van 5 november 2015	Verhuurder en kantoor	Twee uitputtende lijsten: bijlage 1 voor de kandidaat-huurder, bijlage 2 voor de borg. Buiten de lijst vallen onder meer het familieboekje, de zorgverzekeringskaart, bankafschriften, een huwelijkscontract, een scheidingsvonnis en een uittreksel uit het strafregister^[4][5].	Tot 3.000 euro voor een natuurlijke persoon, 15.000 euro voor een rechtspersoon^[5]
AVG en CNIL-besluit nr. 2021-057 van 6 mei 2021	Verwerkingsverantwoordelijke	Het beoordelen van solvabiliteit blijft binnen de genoemde categorieen: identificatie, contactgegevens, werksituatie, inkomsten. Bankafschriften, medische stukken en strafregisters zijn in beginsel niet relevant^[6].	Aanmaning, CNIL-boete
CNIL-lijn over bewaartermijnen	Kantoor, beheerder	Stukken van afgewezen kandidaten worden verwijderd zodra ze niet meer dienen voor de beslissing; drie maanden in de actieve database geldt in beginsel als passend^[5].	Aanmaning, CNIL-boete
Wet Hoguet	Houder van een T- of G-kaart	Beroepskaart van de kamer van koophandel, drie jaar geldig; bevoegdheidsattest voor onderhandelaars; financiele garantie van minstens 110.000 euro per activiteit, 30.000 euro de eerste twee jaar in de voorziene gevallen; een derdenrekening los van de garantie^[7].	Verlies van het recht om te werken
Antiwitwasregels en Tracfin	Vastgoedprofessionals	Clientonderzoek bij aanvang, bewaren van stukken, melding van vermoedens^[8].	Sanctie van de toezichthouder

De paradox van de sector past in een zin: NIS2 vraagt niets van u, en toch bewaart u identiteitsbewijzen, loonstroken, belastingaanslagen en bankgegevens van honderden mensen. Advocatenkantoren kennen hetzelfde gat, beschreven in onze gids over NIS2 in Frankrijk voor advocatenkantoren.

Valse rekeningnummers zijn uw echte risico

Het activiteitenverslag 2025 van Cybermalveillance.gouv.fr, gepubliceerd in maart 2026, telt 504.810 hulptrajecten. Bij bedrijven en verenigingen gaat 21 % over gekaapte accounts, 16 % over phishing, 13,5 % over valse betaalopdrachten en 8,1 % over ransomware^[9]. Dat zijn aandelen in hulptrajecten, geen incidentiecijfers over alle Franse bedrijven.

Het standaardscenario in verhuurbeheer: een mailbox wordt gekraakt, de fraudeur doet zich voor als verhuurder, notaris of verkoper en stuurt een nieuw rekeningnummer. Een waarborg, een kwartaal huur of verkoopgelden verdwijnen^[10]. Een syndicus die de kas van een vereniging beheert is een eersteklas doelwit, omdat de overboekingen groot, onregelmatig en verwacht zijn.

De reflex kost niets: bevestig nieuwe rekeninggegevens altijd via een onafhankelijk kanaal, het bekende nummer van de schuldeiser, nooit via het kanaal dat de gegevens stuurde^[10].

De eerste vijf acties

Zet zwart op wit dat u buiten het toepassingsgebied valt. Een pagina: activiteit niet in bijlage I of II, geen nevenactiviteit zoals datacenter of beheerde ICT-dienst, datum van de toets. Dat is het antwoord dat u bij de volgende klantvragenlijst in tien minuten hergebruikt in plaats van twee dagen.
Leg dubbele controle op betalingen. Elke wijziging van rekeninggegevens van een verhuurder, leverancier of aannemer wordt telefonisch bevestigd op het al bekende nummer, en vastgelegd. In dit vak is dat de beste verhouding tussen kosten en voorkomen verlies.
Ruim dossiers van afgewezen kandidaten op. Zet drie maanden in de actieve database en automatiseer het verwijderen^[5]. Controleer meteen of uw formulier niets vraagt buiten de bijlagen van decreet 2015-1437: dat is de makkelijkst vast te stellen tekortkoming bij een vastgoedprofessional^[4].
Zet tweefactorauthenticatie aan op de mailboxen. Gekaapte accounts vormen de grootste categorie hulptrajecten voor bedrijven^[9], en dat is de ingang voor valse rekeningnummers. Begin bij boekhouding en verhuurbeheer.
Maak uw leveranciersantwoord klaar. Valt een van uw opdrachtgevers onder NIS2, schrijf dan vooraf uw beveiligingsfiche: back-ups met een gedateerde restoretest, meldtermijn bij incidenten, lijst van uw eigen onderaannemers, een beveiligingscontact. Dan onderhandelt u in plaats van te moeten toegeven.

Bij CyberNovaLabs.io

Onze gratis NIS2-check beslecht de vraag over het toepassingsgebied in enkele minuten, per land, en zegt wat er wel geldt als uw sector niet op de lijst staat. Sturen klanten u beveiligingsvragenlijsten, dan geeft onze sectie cyberbeveiliging het antwoordkader.

Wij werken daarnaast met vastgoedbedrijven aan B2B-afspraken: zie ons aanbod voor bedrijfsvastgoed en onze gids over B2B-afspraken laten maken voor vastgoedkantoren.

Twijfel over uw toepassingsgebied of over een klantvragenlijst? Vraag een doorlichting aan: u krijgt een schriftelijk standpunt dat u aan uw klant kunt geven. Opdrachten op aanvraag geprijsd.

Bronnen

CyberNovaLabs.io

Gekwalificeerde afspraken, zonder looptijd.

Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.

→ Afspraken laten inplannen

Lees ook

3 november 2026 · 7 min lezen

Cyberaanval FOD Financien: deadline verschoven (28-10-2026)

Vier dagen zonder MyMinfin, Tax-on-Web en Biztax, terwijl de uiterste datum bleef staan. Er zijn geen gegevens gestolen, dus de kosten zitten elders. Wat de cyberaanval op FOD Financien concreet betekent voor een mkb-bedrijf in Belgie, Nederland, Frankrijk en Luxemburg.

Lees het artikel →3 november 2026 · 9 min lezen

AI-verordening 2026: wat het mkb moet weten

De AI-verordening geldt sinds 2 augustus 2026 en komt voor een mkb-bedrijf dat AI inkoopt neer op drie verplichtingen. De zware eisen uit bijlage III wachten tot 2 december 2027. Hier staan de data, de boeteplafonds die echt voor het mkb gelden, en wie handhaaft in Nederland, België, Frankrijk en Luxemburg.

Lees het artikel →2 november 2026 · 8 min lezen

NIS2 België: vallen hotels en toerisme onder de wet?

Logies en restaurants staan niet in de bijlagen van de Belgische wet van 26 april 2024. Drie plichten raken u toch, en één ervan beslist nu al over zakelijke contracten.

Lees het artikel →1 november 2026 · 8 min lezen

NIS2 Nederland: valt uw webshop onder de Cyberbeveiligingswet?

De wet richt zich niet op "e-commerce". Hij richt zich op drie digitale diensten, waaronder de onlinemarktplaats. Hier staat de precieze toets, wat u dan moet doen, en wat een webshop buiten de scope alsnog raakt.

Lees het artikel →30 oktober 2026 · 7 min lezen

Trackers in een app: 7 miljoen euro boete van de CNIL (29-10-2026)

Eén tracker, één mobiele app, 7 miljoen euro boete. Het besluit van de Franse CNIL werd op 29 oktober 2026 openbaar gemaakt en gaat over een app, niet over een website. Precies daarom is het relevant voor elk mkb-bedrijf in Nederland, België, Frankrijk en Luxemburg met een nette cookiebanner op de site en een app die nog nooit is nagekeken.

Lees het artikel →30 oktober 2026 · 8 min lezen

AI in het mkb: de 5 taken om eerst te automatiseren

In 2025 gebruikte 20,0 % van de EU-bedrijven met tien of meer werkzame personen AI, tegen 13,5 % een jaar eerder. Het gemeten gebruik geeft het mkb een duidelijke volgorde: vijf taken, in deze volgorde, en drie om te laten liggen.

Lees het artikel →